あるユーザーが仕事を始めようとしたところ、パソコンが「ブルースクリーン」のループから抜け出せなくなってしまいました。地球の反対側では、別の誰かがXに投稿しようとしても、何も読み込まれません。これは、世界的な障害がもたらす現実の波紋です。ユーザーは何か問題が起きていると気づいていても、詳しい情報はほとんど得られません。
情報開示を義務づける侵害やインシデントが増えているにもかかわらず、企業が実際に何が起きたのかをユーザーに理解してもらうことよりも、自社の責任回避を優先するため、ユーザーは今も蚊帳の外に置かれがちです。こうしたインシデントが大規模で深刻な障害につながると、問題はさらに深刻化します。脅威アクターによるものであれ、内部的なミスによるものであれ、障害は数日から数週間続くこともあります。
ITおよび運用技術(OT)のサービス障害時における「効果的なコミュニケーション」をめぐる問題を受け、サイバーセキュリティ・インフラストラクチャセキュリティ庁(CISA)はFBIおよび国際的なパートナーとともに、今月、「プレッシャー下でのコミュニケーション：サービスプロバイダーのためのベストプラクティス」という勧告を発表しました。この勧告を発行した各機関は、効果的な危機対応コミュニケーションを、広報的な演出を排し、ユーザーが業務への影響を最小限に抑えられるよう根本原因の分析を説明する、透明性のあるものと定義しています。
「サービス障害そのものにも、被害や混乱、社会的なパニックを引き起こす十分な要因がありますが、そこにエンドユーザーや一般市民による憶測や不確実性が加わることは避けなければなりません」と、この勧告は述べています。
主な提言としては、プロバイダーに対し、直ちにコミュニケーションを取ること、実行可能なガイダンスを提供すること、何が分かっていて何が分かっていないかを含め透明性を保つこと、そして継続的な更新によって説明責任を果たし改善を続けることを求めています。これらはすべて、コンプライアンスと報告義務を維持したうえでの対応です。米国の全50州には、データ侵害の報告を義務づける法律があり、CISAから証券取引委員会(SEC)、米保健福祉省に至るまで、多くの連邦機関が迅速な報告を義務づけています。
技術的な正確さと実務上の有用性
攻撃に関する透明性は、業界全体で今も続く課題です。業界の共通認識が「侵害を受けるかどうか」から「いつ侵害を受けるか」へと移り変わった今もなお、企業は情報開示が自社の評判、顧客との関係、そして財務にどう影響するかを懸念しています。
今回の勧告は、率直な情報開示をより当たり前の基準へと変えていくための、意図的な取り組みだと言えます。しかしCISAが対応しようとしているのは、さらに広範な問題、すなわち「信頼」の問題だと、Quadrum Advisorsのパートナー兼共同創業者であるChris Novak氏は説明します。
Novak氏は、CISAの勧告の言葉選びを興味深いと感じたといいます。同庁は企業に対し、単にもっとコミュニケーションを取れと求めたのではなく、明確さ、説明責任、そして透明性を求めました。この勧告はさらに、企業が評判管理ではなく実行可能な情報に重点を置くこと、そして型通りの安心材料やマーケティング的な言い回しを前面に出さないことを警告している、と同氏は付け加えます。
「この言葉遣いから察するに、政策立案者たちは、技術的には正確でも実際にはさほど役に立たない企業の情報発信を伴うインシデントを、これまでに目にしてきたのでしょう」と、Novak氏はDark Readingに語っています。
従来、企業はインシデント対応時のコミュニケーションを、主に法務、広報、パブリックリレーションのプロセスを通じて管理すべきものとして扱ってきました。これにより、発表内容を最小限にとどめ、原因の所在を明言せず、責任を軽減し、すべての事実が確定するまでできるだけ何も言わないようにするというインセンティブが自然と生まれてしまう、と同氏は説明します。
Novak氏は、クライアントのデータ侵害対応を支援してきたこの20年間で、この傾向を数え切れないほど目にしてきたといいます。
こうした目的自体は正当なものかもしれません。しかし、それは大規模な障害の際に顧客、取締役会、規制当局、投資家、従業員、そして一般市民が実際に必要としているものと相反する、と同氏は警鐘を鳴らします。
「コミュニケーションの欠如がパニックを増幅させる」
今回の勧告のタイミングは、IT・OT両方の環境において障害がより可視化され、相互に連関し、より深刻な影響を及ぼすようになってきたという流れと軌を一にしている、とMarsh SpecialtyでUS・カナダのサイバー部門を率いるMeredith Schnur氏は説明します。
Schnur氏は、最近のインシデントにおいて、重要なサービスがダウンした際、技術的な問題自体は問題の一部にすぎないことが浮き彫りになったと指摘します。もう一つの問題であるコミュニケーションの欠如は、まさにCISAが勧告の中で挙げていたのと同様に、混乱やパニック、業務への影響を増幅させかねません。
Schnur氏は、CISAが今のタイミングでこの勧告を発表した背景には、繰り返し見られるコミュニケーションのパターン、すなわち一貫性のない更新情報、あいまいな発表、遅れる情報開示、そして技術チーム・経営陣・法務・広報の間でかみ合わないメッセージがあるとみています。
「これはコミュニケーションを改善する必要性を反映したものだと私たちは捉えていますが、『どこも対応がまずい』というより、『ベストプラクティスと備えのレベルにばらつきがある』と読む方が適切でしょう」と、Schnur氏はDark Readingに語っています。
CISAのガイダンスはあらゆる規模・業種の組織に有益な内容ですが、対象として想定されているのはサービスプロバイダーです。CISAによれば、このガイダンスは「約6時間にわたりサービスを混乱させた、2025年11月18日のCloudflare障害」など、現実に起きた出来事から得られた知見を踏まえているといいます。
サービスプロバイダーやサプライヤーへの攻撃は、サプライチェーン全体に及ぶ影響範囲の広さゆえに、特に大きな被害をもたらしかねません。さらに事態を悪化させているのが、脅威アクターが人工知能を活用し、これまでよりはるかに速いスピードで自らのアクセス権をサプライチェーンの下流へと広げている状況だと、Coalitionのセキュリティエンジニアリング責任者であるJake Reynolds氏は警告します。
Cloudflareにとって、良質なインシデント対応コミュニケーションとは、迅速さ、明確さ、そして透明性から始まるものです。11月の障害の際、同社は速やかにインシデントの発生を認め、ユーザーに謝罪しました。
「インシデントの際には、常に継続的な更新情報を提供し、何が問題だったのか、そしてどう対応したのかをまとめた詳細な事後報告を、おおむね12時間以内に公開するよう努めています」と、Cloudflareの最高セキュリティ責任者であるGrant Bourzikas氏はDark Readingに語っています。「今後どのような安全対策を講じていくのか、そして顧客に対してどのように説明責任を果たしていくつもりなのかを明示することも重要です。障害やバグは起こり得るものですが、それについて透明性を保ち、そこから得た教訓を共有することが、顧客からの信頼を維持するうえで欠かせません」
Cloudflareはさらに、顧客に対する透明性と説明責任を重視しており、それが今回のCISAの勧告によって後押しされたことを喜んでいるとし、「業界全体でこうした姿勢が広く採用されることを期待しています」と付け加えています。
勧告発表のタイミングについてDark Readingに寄せた声明の中で、CISAの副長官代理を務めるChris Butera氏は、障害によるものであれ、防御策としての遮断によるものであれ、サービス提供状況の変化には、業務への影響を最小限に抑え、憶測を抑制し、信頼を維持するために、透明性のある継続的なコミュニケーションが求められると述べています。
Butera氏は改めて、今回のガイダンスがCloudflareの障害のような現実の出来事から得た知見に基づくものであり、「重大なサイバーインシデントや危機の際に、重要インフラ組織が自らの重要なOTシステムを遮断・復旧させる備えを整える手助けとなる情報とリソースを提供する」CI Fortifyイニシアチブを後押しするものであると強調しています。
専門家が語る主要な提言
Novak氏、Schnur氏、Reynolds氏はいずれも、効果的なコミュニケーションは組織が攻撃を受ける前から始めておく必要があると口をそろえます。組織は、誰が指揮を執るのかをあらかじめ決めておき、それをテーブルトップ演習(机上演習)にも組み込んでおく必要があります。
攻撃を受ける前に意思決定を済ませておくことが不可欠であり、だからこそ今回の勧告は、部門横断型のチーム編成、あらかじめ定められた権限の所在、技術・法務・広報のワークストリームの同期、そして事前に用意されたプレイブックを重視しているのだと、Novak氏は語ります。
「今回の勧告が発表される前から、こうした分野での支援を求める顧客からの需要が、緩やかではあるものの着実に増えていました」とNovak氏は明かします。「このペースはさらに加速していくと見ています。半年後、あるいは1年後に改めて状況を見直すのが楽しみです」
演出を排した共感の姿勢もまた、コミュニケーションにしばしば欠けている重要な要素の一つだと同氏は付け加え、先ほど触れたより広範な信頼の問題に話を戻します。顧客の製造ラインが停止していたり、病院の業務に支障が出ていたり、従業員が仕事をできずにいたりする状況で、自社が「世界最高水準のサービス提供に全力を尽くしています」などと伝えても、さして役には立ちません。
それよりも、影響が出ていることをきちんと認め、次のステップを説明し、ユーザーが取るべき行動と、いつ更新情報が届くのかを伝えるべきだと同氏は勧めます。
「インシデントを深刻ではないふりをすることで信頼が保たれるわけではありません」と同氏は言います。「むしろ、その深刻さをきちんと理解していると示すことによって、信頼は保たれることが多いのです」
バランスを取ることも同様に重要です。あまりに早い段階で情報を出しすぎないようにと、Schnur氏は警告します。インシデントが進行するにつれて重要な事実が変わることもあり、以前の発表を訂正すると、かえって状況が悪く見えてしまう場合があるためです。CISAは今回の勧告で対外的なコミュニケーションに焦点を当てていますが、社内向けのコミュニケーションも同じくらい重要だと同氏は付け加えます。
「これは、多くの人が思っている以上に重要なことです」
こうしてメッセージが発信された今、コミュニケーションを実効性のあるものへと進化させていかなければなりませんが、それは侵害の透明性を高めることに何かしら寄与するのでしょうか。専門家の見方は「イエス」に傾いています。
今回の勧告は、周辺的な部分では透明性の向上につながるかもしれませんが、意味のある変化を起こせるかどうかは、経営陣の文化、規制当局からの圧力、そしてインシデント対応の成熟度次第だと、Schnur氏は語ります。
CISAとFBIが効果的なコミュニケーションのベストプラクティスを確立した今、それは企業が評価される際の基準そのものを変えていくことになります。今後、期待される水準は「法的に開示を義務づけられていることを開示する」から「企業の利害関係者が自らのリスクを管理するうえで合理的に必要とする情報を伝える」へとシフトしていく可能性があり、これはかなり高いハードルだと、Novak氏は指摘します。
「これは、多くの人が思っている以上に重要なことです」と同氏は言います。「参考までに言うと、私たちのチームが役員会議室で最もよく耳にする質問の一つが、『自分たちと似たような他の組織は、どんな対応をしているのか』というものです」
今回の勧告は期待値を引き上げる効果はあるものの、説明責任の代わりにはならないと、Reynolds氏は述べます。同氏は、より強いインセンティブが伴わない限り、本来ガイダンスに反応してほしい対象者がそれに向き合わない可能性があると懸念しています。
今回の勧告単独では、組織の行動を実質的に変えることはおそらくないだろうと、Reynolds氏は述べます。より広範な変化を起こすには、規制当局による執行、取締役会による監督、契約上・保険上の要件、訴訟リスク、そして顧客からの圧力といった要素の組み合わせが必要になるだろうとしています。
「これが、今回の勧告における最大の限界と言えるかもしれません」と同氏は言います。「この勧告は、望ましいコミュニケーションがどのようなものかを組織に示してくれますが、最低限のことしかしなくても実質的なデメリットがないと感じている組織にとって、それだけでその行動を優先事項に押し上げることはできないのです」
